Microsoft ha publicado una actualización de seguridad fuera de banda (OBB, por sus siglas) para .NET 8, .NET 9 y .NET 10, así como para la tercera versión candidata de .NET 11. Acorde a la información compartida por la compañía, el parche está distribuido fuera del calendario habitual de actualizaciones y corrige varias vulnerabilidades que pueden comprometer la seguridad de las aplicaciones y los sistemas que utilizan estas tecnologías, por ello, Microsoft recomienda instalar las nuevas versiones lo antes posible.

Uno de los fallos corregidos afecta al algoritmo de descompresión Brotli, utilizado para procesar determinados datos comprimidos. Identificada como CVE-2026-111497, esta vulnerabilidad puede permitir que un atacante sin autenticar lea o modifique la memoria de un proceso, teniendo en cuenta que entre sus posibles consecuencias figuran la exposición de información, la interrupción del funcionamiento de un servicio y la obtención de privilegios elevados.

Además, la vulnerabilidad puede afectar a las aplicaciones que procesan datos comprimidos con Brotli mediante funciones de ASP.NET Core, la descompresión automática de respuestas de HttpClient o las interfaces de la biblioteca System.IO.Compression. Sin embargo, Microsoft aclara que la descompresión de solicitudes y la de respuestas no están activadas de forma predeterminada, ya que la vulnerabilidad no afecta a .NET Framework.

Por otro lado, la actualización también soluciona otro fallo de seguridad que está identificado como CVE-2026-114148 y relacionado con los metadatos de propiedad de los archivos de distribución de .NET para Linux. Según la información compartida, un atacante con acceso local puede modificar archivos y conseguir privilegios elevados, no obstante, el alcance de esta vulnerabilidad varía según la versión. Concretamente, en .NET 10 y .NET 11 afecta a los paquetes utilizados para compilar el código fuente, mientras que en .NET 8 y .NET 9 también alcanza determinadas distribuciones de ASP.NET Core obtenidas mediante estos paquetes.

¿Qué recomienda Microsoft?

Microsoft detalla varios pasos para instalar las correcciones de seguridad en función de cómo se ejecuten o distribuyan las aplicaciones:

• Aplicaciones que utilizan el entorno de ejecución instalado en el sistema: Es necesario instalar la versión actualizada de .NET correspondiente a la aplicación y reiniciarla para aplicar los cambios.
• Aplicaciones autónomas: Deben recompilarse y publicarse de nuevo con el entorno de ejecución actualizado. Instalar una versión más reciente de .NET en el equipo no actualiza automáticamente la que está incluida en la propia aplicación.
• Aplicaciones en contenedores: Hay que reconstruirlas y desplegarlas de nuevo utilizando las imágenes de contenedor de .NET actualizadas.
• Entornos que compilan .NET desde el código fuente: Deben descargar los artefactos de compilación actualizados para la versión correspondiente y reconstruir los paquetes para incorporar la corrección relacionada con las propiedades de los archivos TAR.
• Usuarios de ASP.NET Core en .NET 8 y .NET 9 que utilizan archivos TAR: Hay que actualizar la instalación con el archivo TAR del entorno de ejecución de ASP.NET Core correspondiente a su versión, incluso si no compilan .NET desde el código fuente.